CVE-2026-86765 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-IT の 8.7.0 より前のバージョンでは、アセット更新エンドポイントに対して割り当てフィールドが送信される際にチェックアウトの認可が強制されません。編集権限は持っているもののチェックアウト権限を明示的に拒否されている認証済みユーザーは、PATCH /api/v1/hardware/{id} に assigned_user、assigned_asset、または assigned_location パラメータを送信することでアセットの再割り当てを行い、チェックイン手順をバイパスし、所有記録を変更することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.